NetStat: DDoS saldırılarını tespit etmek için ipuçları

Çok ilginç bir makale buldum Linuxarya Sunucumuzun saldırı altında olup olmadığını nasıl tespit edeceğimiz hakkında DDoS (Dağıtılmış Hizmet Reddi)Veya aynısı ne Hizmet Reddi Saldırısı.

Bu tür saldırılar oldukça yaygındır ve sunucularımızın biraz yavaş olmasının nedeni olabilir (yine de Katman 8 sorunu olabilir) ve önceden uyarılmaktan asla zarar gelmez. Bunu yapmak için aracı kullanabilirsiniz netstat, ağ bağlantılarını, yönlendirme tablolarını, arayüz istatistiklerini ve diğer bir dizi şeyi görmemizi sağlar.

NetStat Örnekleri

netstat -na

Bu ekran, sunucudaki tüm aktif İnternet bağlantılarını ve yalnızca kurulan bağlantıları içerecektir.

netstat -an | grep: 80 | çeşit

Yalnızca http bağlantı noktası olan 80 numaralı bağlantı noktasında sunucuya yapılan etkin İnternet bağlantılarını gösterin ve sonuçları sıralayın. Tek bir sel tespitinde faydalıdır (sel) böylece bir IP adresinden gelen birçok bağlantıyı tanımaya izin verir.

netstat -n -p | grep SYN_REC | wc -l

Bu komut, sunucuda kaç tane etkin SYNC_REC olduğunu bilmek için kullanışlıdır. Sayı oldukça düşük, tercihen 5'ten az olmalıdır. Hizmet reddi saldırıları veya posta bombardımanı olaylarında sayı oldukça yüksek olabilir. Ancak, değer her zaman sisteme bağlıdır, bu nedenle başka bir sunucuda yüksek bir değer normal olabilir.

netstat -n -p | grep SYN_REC | sırala -u

Dahil olan tüm IP adreslerinin bir listesini yapın.

netstat -n -p | grep SYN_REC | awk '{print $ 5}' | awk -F: '{baskı $ 1}'

SYN_REC bağlantı durumunu gönderen düğümün tüm benzersiz IP adreslerini listeleyin.

netstat -ntu | awk '{print $ 5}' | kesim -d: -f1 | sırala | uniq -c | sırala -n

Sunucuya yaptığınız her IP adresinden bağlantı sayısını hesaplamak ve saymak için netstat komutunu kullanın.

netstat -anp | grep 'tcp | udp' | awk '{print $ 5}' | kesim -d: -f1 | sırala | uniq -c | sırala -n

TCP veya UDP protokolü kullanarak sunucuya bağlanan IP adreslerinin sayısı.

netstat -ntu | grep ESTAB | awk '{print $ 5}' | kesim -d: -f1 | sırala | uniq -c | sırala -nr

Tüm bağlantılar yerine KURULDU olarak işaretlenmiş bağlantıları kontrol edin ve her IP için bağlantıları gösterin.

netstat -plan | grep: 80 | awk {'print $ 5'} | cut -d: -f 1 | sort | uniq -c | sort -nk 1

Sunucudaki 80 numaralı bağlantı noktasına bağlanan IP adreslerini ve bunların bağlantı sayısını gösterir ve listesi. 80 numaralı bağlantı noktası, öncelikle Web istekleri için HTTP tarafından kullanılır.

Bir DOS saldırısı nasıl hafifletilir

Sunucunun saldırdığı IP'yi bulduğunuzda, sunucunuzla bağlantılarını engellemek için aşağıdaki komutları kullanabilirsiniz:

iptables -A GİRİŞ 1 -s $ IPADRESS -j DROP / RED

$ IPADRESS'i netstat ile bulunan IP adresleriyle değiştirmeniz gerektiğini unutmayın.

Yukarıdaki komutu çalıştırdıktan sonra, sisteminizi temizlemek için tüm httpd bağlantılarını KILL ve aşağıdaki komutları kullanarak daha sonra yeniden başlatın:

killall -KILL httpd

service httpd start # Red Hat sistemleri için / etc / init / d / apache2 restart # Debian sistemleri için

kaynak: Linuxarya